Najbardziej dojrzałe systemy oceny ludzi poza Chinami zwykle nie nazywają się social scoringiem. Występują jako raport kredytowy, screening najemcy, kontrola świadczenia, ocena ryzyka recydywy, wykrywanie oszustwa, reputacja platformowa, uwierzytelnienie albo kontrola graniczna. Są rozdzielone pomiędzy państwo i rynek, działają według różnych przepisów i rzadko tworzą jeden profil. Nie znaczy to, że są mało ważne. Człowiek może równocześnie zostać oceniony przy kredycie, mieszkaniu, pracy, świadczeniu i podróży, choć żadna instytucja nie pokazuje mu wspólnej liczby.

Ta część serwisu nie szuka więc zachodniej kopii medialnego obrazu Chin. Bada architekturę przekształcania danych w konsekwencję: kto dostarcza rekord, jak rozpoznaje się osobę, gdzie powstaje cecha lub trafienie, co otrzymuje operator, jak wynik wpływa na decyzję oraz czy korekta dociera do wszystkich kopii. Takie spojrzenie pozwala porównywać systemy o odmiennych nazwach bez udawania, że są tym samym.

Mapa kategorii

Punktem wyjścia jest typologia architektur scoringowych. Wyjaśnia ona różnicę między przetwarzaniem wsadowym i strumieniowym, regułą i modelem uczonym, scentralizowanym magazynem i federacją zapytań, wynikiem liczbowym i listą spraw. Wprowadza także wspólny schemat analizy używany w kolejnych artykułach.

Studia przypadków są ułożone od infrastruktury stosunkowo jawnej do systemów, których część pozostaje zastrzeżona:

  • Stany Zjednoczone pokazują prywatną federację raportów konsumenckich, wyspecjalizowane screeningi, narzędzia wymiaru sprawiedliwości oraz platformę reagującą na ryzyko w czasie rzeczywistym;
  • Holandia pokazuje dwa odmienne niepowodzenia: formalnie pseudonimizowany SyRI i rozbudowany łańcuch selekcji zasiłków, w którym szkoda powstała z połączenia modelu, zasad, list i praktyki urzędniczej;
  • Australia pozwala wyjątkowo dokładnie odtworzyć Robodebt od danych podatkowych po egzekucję długu;
  • Wielka Brytania publikuje specyfikacje danych National Fraud Initiative i rozdziela trafienie od decyzji;
  • Indie i Unia Europejska pokazują, że warstwa tożsamości nie jest oceną, lecz może stać się kluczem spinającym wiele ocen;
  • systemy graniczne pokazują wspólną sankcję wykonywaną przez wiele państw i przewoźników.

Pięć pytań zamiast etykiety

Spór o to, czy konkretne rozwiązanie „jest social scoringiem”, łatwo staje się semantyczny. Praktyczniejszy test składa się z pięciu pytań.

Jakie są dane wejściowe? Historia rachunków jest czym innym niż narodowość, a zdarzenie z czujnika czym innym niż opinia operatora. Trzeba rozdzielić dane pierwotne, dane wyprowadzone i założenia polityki.

Jaki jest cel? Model może szacować prawdopodobieństwo opóźnienia, wskazywać niespójność dochodu albo tylko potwierdzać tożsamość. Wynik walidowany dla jednego celu nie uzyskuje automatycznie sensu w innym.

Jaka jest postać wyniku? Może to być liczba, klasa, alert, dopasowanie rekordów, pozycja na liście albo rekomendacja. Brak jednej liczby nie oznacza braku oceny.

Jaka decyzja następuje dalej? Ten sam alert może rozpocząć spokojną kontrolę dokumentów albo automatyczną windykację. Skutek zależy częściej od silnika decyzji niż od matematyki modelu.

Jak działa korekta? Prawo do wysłania formularza jest słabym zabezpieczeniem, jeśli błędny rekord nadal pozostaje u pośredników, a nowa decyzja powstaje szybciej niż reklamacja.

Stany Zjednoczone: wiele wyników i wielu pośredników

Amerykański konsument nie ma jednego wyniku państwowego. Ma raporty w trzech największych biurach informacji kredytowej, różne wersje FICO i VantageScore, raporty najemcy, sprawdzenia zatrudnieniowe oraz wyniki branżowe. Consumer Financial Protection Bureau opisuje tę infrastrukturę jako przepływ danych od tysięcy dostawców do Equifax, Experian i TransUnion, a następnie do podmiotów podejmujących decyzje.1

Szczegółową drogę rekordów, standard Metro 2, rozpoznawanie osoby, tworzenie raportu i obsługę sporu opisuje artykuł Amerykańska infrastruktura kredytowa. Ważne jest rozdzielenie raportu od wyniku: biuro zestawia dane, model punktowy przekształca wybrane pola w prognozę, a bank dodaje własną politykę i dane z wniosku.

Rynek mieszkaniowy i pracy tworzy kolejną warstwę. Screening najemców i pracowników może korzystać z raportu kredytowego, rejestrów sądowych, historii eksmisji, danych karnych, weryfikacji zatrudnienia i kryteriów konkretnego zamawiającego. CFPB znalazł setki dostawców oraz problemy z dopasowaniem rekordów, aktualnością spraw i nieprzejrzystymi rekomendacjami.2 Funkcjonalnie jest to ocena człowieka wpływająca na podstawowe dobra, mimo że nie prowadzi jej państwo.

W wymiarze sprawiedliwości wynik ma jeszcze większy ciężar. COMPAS i predykcyjne działania policji zestawiają dwa różne mechanizmy: ocenę ryzyka i potrzeb konkretnej osoby oraz prognozowanie miejsca, czasu albo sieci kontaktów. Nie są one pewną wiedzą o przyszłości. Są statystycznym uporządkowaniem przypadków, które może pomóc w przydziale nadzoru, lecz nie powinno zastępować ustalenia winy.

Odmienny model prezentuje platforma ryzyka Ubera. Operator widzi zdarzenia we własnym systemie i może reagować w trakcie transakcji. Publiczne materiały inżynierskie opisują agregację cech, usługę modeli, reguły, analizę grafową i ręczną weryfikację.3 To cenniejszy technicznie przykład niż same gwiazdki reputacji: pokazuje pętlę od zdarzenia do działania w czasie liczonym w milisekundach lub minutach.

Holandia: prywatność warstwy nie naprawia celu

SyRI łączył dane partnerów publicznych w projektach wykrywania nadużyć. Inlichtingenbureau pełniło rolę zaufanej strony pośredniej: dane były standaryzowane i pseudonimizowane, następnie porównywane z modelem ryzyka, a wybrane pseudonimy mogły zostać ponownie powiązane z osobą. Nie był to jeden stale działający wynik mieszkańca, lecz projektowy mechanizm selekcji spraw.

Sąd w Hadze uznał podstawę SyRI za niezgodną z art. 8 EKPC. Podkreślił niewystarczającą przejrzystość i weryfikowalność oraz brak właściwej równowagi między celem publicznym a ingerencją w życie prywatne.4 Techniczna pseudonimizacja ograniczała bezpośredni dostęp do nazwisk, ale nie odpowiadała na pytanie, czy zakres i sposób klasyfikacji były proporcjonalne.

Holenderska afera zasiłkowa nie daje się sprowadzić do jednego algorytmu. W łańcuchu działały model klasyfikacji ryzyka, ręczna selekcja, listy sygnałów, kategorie intensywnego postępowania, rygorystyczna interpretacja prawa i odzyskiwanie całych świadczeń. Model wskazywał część spraw do kontroli, lecz o skali szkody decydowały także proces i kultura organizacyjna. Sam „człowiek w pętli” nie stanowi zabezpieczenia, jeżeli oczekuje się od niego potwierdzania podejrzenia.

Australia: prosta transformacja, masowa szkoda

Robodebt jest jednym z najlepiej udokumentowanych przykładów automatyzacji administracyjnej. Dane o rocznych zarobkach z Australian Taxation Office zestawiano z okresami pobierania świadczeń. Gdy brakowało szczegółowego rozkładu dochodu, program rozkładał roczną kwotę na krótsze okresy. Ta transformacja nie dowodziła, że świadczeniobiorca zarabiał właśnie tyle w każdym z nich.

Problem nie wymagał sieci neuronowej. System wyboru populacji, dopasowania tożsamości, portal kontaktu, kalkulator długu, korespondencja i odzyskiwanie należności utworzyły linię produkcyjną. Komisja Królewska opublikowała mapy procesów pozwalające odtworzyć warianty OCI, EIC i CUPI od przesłania danych do powstania długu.5

Robodebt przypomina, że jakość modelu nie jest jedyną miarą. Trzeba testować legalność każdej transformacji, ciężar dowodu, obsługę braku danych, wyjątki dla osób podatnych na szkodę oraz możliwość zatrzymania procesu. Masowa automatyzacja wzmacnia zarówno poprawną, jak i błędną regułę.

Wielka Brytania: trafienie nie jest wyrokiem

National Fraud Initiative porównuje zbiory organów publicznych i innych uprawnionych uczestników. Specyfikacje obejmują między innymi płace, emerytury, mieszkalnictwo, podatki lokalne, licencje, rejestr wyborców i zezwolenia transportowe.6 Dane są przekazywane w ćwiczeniach okresowych, ale rozwijane są także usługi ReCheck i rozwiązania szybszego sprawdzania.

Wynikiem jest dopasowanie lub sprawa do zbadania, nie automatyczne stwierdzenie oszustwa. Organizacja uczestnicząca ocenia kontekst, kontaktuje się z właściwym podmiotem i dokumentuje rezultat. Brytyjski model jest interesujący, ponieważ publikuje znaczną część kontraktu danych, a jednocześnie zachowuje granicę między analityką a rozstrzygnięciem.

Tożsamość: warstwa umożliwiająca, nie wynik

Aadhaar nadaje numer, przeprowadza deduplikację demograficzną i biometryczną oraz udostępnia uwierzytelnienie. W transakcji podmiot AUA zbiera żądane dane, przekazuje je przez operatora ASA do Central Identities Data Repository, a odpowiedź potwierdza albo odrzuca zgodność. e-KYC może dodatkowo zwrócić podpisany i zaszyfrowany zestaw danych.

Numer Aadhaar nie jest oceną wiarygodności. Jest trwałym kluczem oraz usługą ustalenia „czy to ta osoba”. Dzięki temu ogranicza wielokrotne tożsamości, lecz ułatwia także niezawodne łączenie zdarzeń. Awaria uwierzytelnienia ma skutki wtedy, gdy inna usługa uczyni Aadhaar jedyną bramą dostępu.

Europejski portfel EUDI przyjmuje bardziej rozproszony model: wystawca wydaje PID albo elektroniczne poświadczenie atrybutu, portfel przechowuje je lub kontroluje dostęp, a usługodawca prosi o określone dane. Wspólne standardy, katalogi i infrastruktura zaufania mają umożliwić weryfikację ponad granicami.7

Portfel również nie jest scoringiem. Może jednak dostarczyć bankowi potwierdzenie dochodu, urzędowi uprawnienie, a przewoźnikowi dokument. Projektując system oceny, trzeba pilnować, aby warstwa tożsamości nie stała się niewidocznym magazynem wszystkich decyzji. Uwierzytelnienie, prezentacja atrybutu i profilowanie są odrębnymi operacjami.

Granice: wynik wykonywany przez federację

ETIAS, EES, ATS i Secure Flight reprezentują systemy o poważnym skutku, choć ograniczonym celu. Dane podróżnego są sprawdzane wobec wielu źródeł; system może zwrócić brak trafienia, dopasowanie wymagające oceny albo dyspozycję wykonaną przez przewoźnika lub funkcjonariusza.

Europejska architektura interoperacyjności obejmuje European Search Portal, wspólną usługę biometrycznego dopasowania, Common Identity Repository i Multiple-Identity Detector.8 ETIAS korzysta ponadto z systemu centralnego, jednostek krajowych, listy obserwacyjnej i reguł przesiewowych. To nie jest jedna ogólna ocena obywatela, lecz przykład, jak wiele instytucji wykonuje wspólną decyzję na podstawie rozproszonych danych.

Amerykańskie ATS i Secure Flight mają inną genezę i zakres. W obu przypadkach szczegóły operacyjne są częściowo ograniczone ze względów bezpieczeństwa. Można opisać kategorie danych, podmioty, przepływ i tryby odpowiedzi, ale nie należy udawać znajomości tajnych reguł ani list.

Cztery modele organizacyjne

Przypadki dają się uporządkować w cztery rodziny.

Broker raportu

Biuro kredytowe albo firma screeningowa otrzymuje dane od wielu dostawców, rozpoznaje konsumenta i sprzedaje raport lub wynik uprawnionemu klientowi. Zaletą jest specjalizacja. Wadą — wielokrotne kopie i trudność propagacji korekty.

Zaufany pośrednik publiczny

SyRI oraz częściowo NFI korzystają z podmiotu, który przyjmuje dane wielu uczestników i wytwarza trafienia. Uczestnicy nie muszą otrzymywać całej wspólnej bazy. Pośrednik ogranicza ujawnienie, lecz staje się krytycznym punktem zaufania.

Linia decyzji administracyjnej

Robodebt i proces zasiłków holenderskich pokazują cały łańcuch: wybór populacji, dane, regułę, kontakt, decyzję i egzekucję. Granica systemu nie kończy się na modelu. List i zachowanie operatora są jego elementami równie realnymi jak kod.

Platforma czasu rzeczywistego

Uber kontroluje kanał zdarzenia i kanał reakcji. Może zebrać cechy, obliczyć wynik i wymusić dodatkową weryfikację przed zakończeniem operacji. Taki model daje szybką pętlę informacji zwrotnej, ale skupia dane i władzę wykonawczą u jednego operatora.

Warstwy tożsamości i granic przecinają te rodziny. Aadhaar lub EUDI mogą dostarczyć pewniejszy identyfikator, zaś przewoźnik może stać się wykonawcą dyspozycji innego organu.

Jedna liczba nie jest potrzebna

Najważniejsza lekcja jest zgodna z doświadczeniem chińskim: kontrola nie wymaga jednego ogólnokrajowego wyniku. Wystarczą oceny w punktach dostępu do pieniędzy, mieszkania, pracy, świadczenia, platformy i granicy. Rozproszenie zmniejsza zasięg jednej awarii, ale czyni całość trudniejszą do zobaczenia.

Ta sama błędna data urodzenia albo pomylony rekord sądowy mogą przejść przez kilku brokerów. Ta sama selekcja geograficzna może zwiększać liczbę kontroli w jednej dzielnicy, a jej wyniki zasilać kolejną wersję modelu. System formalnie sektorowy tworzy skutek przekrojowy, gdy jego dane lub konsekwencje przechodzą do następnego sektora.

Dlatego lepszą miarą centralizacji jest nie liczba baz, lecz wspólność identyfikatorów, łatwość wymiany i zasięg wykonania decyzji. Federacja z jednym kluczem i szybkimi API może zachowywać się jak system centralny. Monolityczna baza bez uprawnień do działania może być mniej wpływowa.

Jak czytać dalsze artykuły

Każde studium przypadku rozdziela fakty udokumentowane od rekonstrukcji oraz od propozycji dla Polski. Nazwa produktu nie jest dowodem technologii. Jeżeli dokument ujawnia przepływ plików, lecz nie silnik dopasowania, opis zatrzymuje się na tej granicy. Jeżeli dostawca publikuje architekturę referencyjną, nie jest ona automatycznie dowodem identycznego wdrożenia produkcyjnego.

Szczególnej ostrożności wymagają modele zastrzeżone. FICO, COMPAS i komercyjny screening mogą być oceniane przez wyniki walidacji, interfejsy i obowiązki operatora, ale dokładne wagi konkretnej wersji nie są publicznym faktem. Z kolei Robodebt dowodzi, że pełna jawność wzoru nie wystarcza, jeśli wzór realizuje wadliwe założenie.

Lekcje dla Polski

Zagraniczne systemy dostarczają elementów, nie gotowego wzorca. Z USA warto przejąć dostęp do raportu, zawiadomienie o niekorzystnej decyzji i odpowiedzialność dostawcy danych. Z NFI — jawny kontrakt danych i rozdzielenie trafienia od rozstrzygnięcia. Z architektury platformowej — ocenę zdarzenia w odpowiednim momencie oraz szybkie sprzężenie zwrotne. Z Robodebt i Holandii — wiedzę, gdzie automat zwielokrotnia błąd organizacji.

Polska może na szczęście projektować wspólną proweniencję danych, rejestr użyć, wersjonowanie polityk i propagację korekt, zamiast odziedziczyć rynek przypadkowych brokerów. Obecne prawo unijne niestety ogranicza część ambitnych zastosowań przekrojowych. Nie zabrania jednak tworzenia modelu danych, środowiska syntetycznego, testów obciążeniowych i mechanizmów audytu.

Najlepszy projekt nie kopiuje żadnego państwa. Łączy pewną tożsamość z minimalizacją pomyłek, federacyjne źródła ze wspólnym śladem audytowym, automat z mierzalną ścieżką odwoławczą oraz moc wykonania z odpowiedzialnością konkretnego właściciela. Dopiero cały łańcuch — od rekordu do konsekwencji i z powrotem do korekty — zasługuje na nazwę systemu.